PHP2Shell: Wordfence, attacchi in corso ma nessuna compromissione confermata

Wordfence, in un aggiornamento pubblicato il 22 ottobre 2026, segnala che gli attacchi contro le due vulnerabilità critiche di PHP note come PHP2Shell proseguono, ma finora non ha osservato compromissioni confermate riconducibili a questi tentativi. È un dato operativo utile per chi deve stabilire la priorità della patch su decine di installazioni.

Le due falle, CVE-2026-109618 e CVE-2026-109619, entrambe con punteggio CVSS v4.0 9.2, sono state corrette dal progetto PHP il 21 ottobre 2026 con il rilascio di PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Permettono l'esecuzione di codice da remoto senza autenticazione, quindi riguardano direttamente il motore PHP e non il codice dell'applicazione: WordPress, Magento, Shopware e qualsiasi stack PHP-FPM o mod_php sono esposti anche con plugin e temi aggiornati.

Wordfence aveva già avvisato i gestori di siti prima del rilascio delle patch e aveva pubblicato un'analisi tecnica dopo aver testato le versioni vulnerabili e quelle corrette. Nel nuovo bollettino, il team scrive che l'assenza di compromissioni riscontrate è un indicatore della complessità dello sfruttamento, considerando che Wordfence protegge oltre 5.000.000 di siti WordPress: una base di osservazione ampia, su cui finora non sono emersi incidenti confermati.

Il quadro trova riscontro in altre fonti di sicurezza: anche Patchstack, dopo aver segnalato nelle prime ore casi di sfruttamento attivo riportati dai propri partner hosting, ha corretto il tiro osservando che la propria telemetria mostra solo attacchi di sondaggio, senza prove concrete di violazioni.

Cosa cambia per chi gestisce server

Nessuna novità sulle versioni corrette: restano valide 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Chi è ancora su PHP 8.2 deve tenere presente che quel ramo raggiunge la fine del supporto il 31 dicembre 2026: la patch di emergenza va applicata subito, ma va messa in calendario anche la migrazione a una versione con supporto più lungo. Per i rami precedenti, 8.1 e più vecchi, il progetto PHP non ha rilasciato pacchetti numerati e l'aggiornamento resta l'unica mitigazione completa indicata dal produttore.